Fuente: CPO Magazine
Se ha venido presentando una tendencia en el alza de los ataques cibernéticos a las pequeñas y medianas empresas (PYMES) desde hace algunos años.
Un nuevo estudio del Instituto Ponemon indica que los ataques a las PYMES han aumentado considerablemente en el último año en regiones particulares del mundo. Si bien el número total de ataques a las PYMES globales se mantuvo desde el año anterior, los ataques en regiones específicas (como los Estados Unidos) aumentaron hasta un 21%.
Informe sobre el estado de la ciberseguridad de Ponemon 2019 para pymes
La encuesta anual de Ponemon a las pequeñas y medianas empresas es importante, ya que busca específicamente ataques dirigidos. Uno esperaría que los números de ataques SMB crezcan en todos los ámbitos a medida que las herramientas de piratería automatizadas indiscriminadas se vuelven más frecuentes, pero los ataques registrados en la encuesta son sofisticados e involucran acciones como el phishing dirigido por correo electrónico de un empleado o un enfoque en obtener datos específicos de la compañía.
Mientras que aproximadamente 2/3 de las pymes del mundo ahora están experimentando ataques cibernéticos, el 45% todavía siente que su postura de seguridad cibernética es “ineficaz” y el 39% todavía no tiene un plan de respuesta a incidentes.
La encuesta anual SMB de Ponemon se ha llevado a cabo desde 2016 y está encargada por Keeper Security. La encuesta de este año incluyó a 2,391 profesionales de seguridad de TI y tomadores de decisiones de compañías ubicadas en los Estados Unidos, el Reino Unido y en toda Europa. El tamaño de las empresas oscila entre 100 y 1,000 empleados y los datos se recopilaron en agosto y septiembre.
Parece que los nuevos ataques se están centrando en las PYMES en regiones específicas, y Estados Unidos está sufriendo lo peor. El número general de ataques SMB globales se mantuvo bastante estable, tal vez incluso disminuyendo ligeramente (pasando del 67% en 2018 al 66% en 2019).
El 76% de las PYMES en los Estados Unidos informaron un ataque cibernético este año, en comparación con solo el 55% en 2018. Además, el 82% de estos encuestados han experimentado un ataque cibernético en su vida. A pesar de todo esto, el 88% de estas empresas gastan menos del 20% de su presupuesto de TI en ciberseguridad.
Los ataques en el Reino Unido también aumentaron a un ritmo menor pero aún significativo, de 55% a 65%.
Ciberataques más inteligentes
Estos ataques están aumentando no solo en frecuencia, sino también en calidad.
El tipo de ataque global más común es el phishing, algo de lo que el 57% de las PYMES globales fueron víctimas este año pasado.
La pérdida de datos es el resultado más común de los ataques cibernéticos a las pymes. El 69% de las empresas en los Estados Unidos que respondieron perdieron algún tipo de información personal confidencial perteneciente a empleados o clientes.
Las nuevas tecnologías parecen ser uno de los principales factores que impulsan estos ataques. Los desarrollos relativamente recientes, como los dispositivos de Internet de las cosas (IoT), la biometría y el uso de dispositivos móviles personales para el trabajo, han sido adaptados rápida y ampliamente por las PYMES. Pero las tecnologías y prácticas de seguridad tienden a quedarse atrás en estas áreas.
Las empresas parecen estar conscientes de esto, pero sienten que no pueden hacer nada al respecto. El 49% de los encuestados consideró que el uso de dispositivos móviles con aplicaciones críticas para el negocio debilitó la postura de seguridad de la organización, a pesar de que el 48% informó haber hecho esto exactamente en sus empresas. El 80% consideró que los dispositivos de IoT no asegurados podrían provocar un incidente de seguridad catastrófico, sin embargo, solo el 21% de estas compañías están monitoreando activamente estos dispositivos.
El 75% de los encuestados han implementado la biometría en su perfil de seguridad o tienen la intención de hacerlo pronto. Si bien la biometría pretende ser una capa de seguridad mejorada contra los actores de amenazas, el reciente incidente con Biostar 2 de Suprema muestra que las vulnerabilidades en todo el sistema pueden convertir todos esos datos de autenticación en otra responsabilidad masiva
¿Problemas en el Reino Unido?
El Reino Unido estuvo a la par de la tasa global de ciberataques de PYMES, pero experimentó un aumento regional significativo. La confianza también disminuyó un poco, exactamente en un 4%.
Curiosamente, los ataques basados en la web (49%) superaron ligeramente el phishing (48%) en esta región. Los ataques de malware (42%) también obtuvieron ganancias notables.
Condiciones únicas en otros lugares de Europa
Posiblemente debido a la influencia del Reglamento General de Protección de Datos (GDPR), varias regiones de Europa informaron una mayor confianza en su postura de seguridad y lucharon con menos ataques cibernéticos en el último año.
La región DACH (Austria, Alemania y Suiza) tiene la mejor postura de seguridad de IoT en la actualidad, aunque las cifras generales siguen siendo relativamente bajas. DACH lideró todas las demás partes del mundo con un 27% de sus pymes que realizaron capacitación en seguridad de IoT para empleados y proveedores, y un 25% monitoreó activamente los dispositivos de IoT utilizados en el lugar de trabajo para detectar violaciones de datos. Sin embargo, estas compañías también expresaron la menor preocupación por las contraseñas de los empleados y solo el 58% respondió que era un problema de seguridad importante para ellos.
La Unión Benelux (Bélgica, Luxemburgo y Países Bajos) tuvo una de las tasas más bajas de ataques cibernéticos dirigidos a las PYMES con un 56%. Esta región tenía un alto índice de seguridad en las contraseñas seguras (68%) y lideró a los encuestados en la implementación de la biometría (51%).
Escandinavia luchó más que estas otras regiones, con el 64% de las pymes experimentando ataques cibernéticos y el 71% de estos informando que el malware o los exploits lograron superar su seguridad. Sin embargo, esta región tenía más probabilidades que otras de identificar dispositivos móviles como un riesgo para la infraestructura crítica (56%). Escandinavia también fue la única región que se centró principalmente en la protección de la propiedad intelectual, mientras que otras regiones priorizaron la protección de los datos de los clientes.
SMB desafíos de seguridad
Estos informes de investigación anuales dejan en claro que, si hay un objetivo vulnerable por ahí, habrá un hacker interesado en él, no importa cuán pequeño pueda parecer. Si bien las pequeñas y medianas empresas no enfrentan el mismo perfil de riesgo con el que tienen que lidiar las grandes organizaciones empresariales, ahora claramente enfrentan suficientes ataques cibernéticos en donde un plan de prevención y respuesta es absolutamente vital.
